iptables的概念及使用（网络搜索整理）

一.概念

典型的防火墙设置有两个网卡：一个流入,一个流出.iptables读取流入和流出数据包的报头,将它们与规则集（Ruleset）相比较,将可接受的数据包从一个网卡转发至另一个网卡,对被拒绝的数据包,可以丢弃或按照所定义的方式来处理.

通过向防火墙提供有关对来自某个源地址、到某个目的地或具有特定协议类型的信息包要做些什么的指令,规则控制信息包的过滤.通过使用iptables系统提供的特殊命令iptables建立这些规则,并将其添加到内核空间特定信息包过滤表内的链中.关于添加、去除、编辑规则的命令,一般语法如下：

iptables [-t table] command [match] [target]

1．表（table）

[-t table]选项允许使用标准表之外的任何表.表是包含仅处理特定类型信息包的规则和链的信息包过滤表.有三个可用的表选项：filter、nat和mangle.该选项不是必需的,如果未指定,则filter作为缺省表.

2．命令（command）

command部分是iptables命令最重要的部分.它告诉iptables命令要做什么,例如插入规则、将规则添加到链的末尾或删除规则.

-N：new新建
-x：删除一条
-F：flush
　　　 -z :zero
-P：policy
-E：重命名

3．匹配（match）

iptables命令的可选match部分指定信息包与规则匹配所应具有的特征（如源地址、目的地址、协议等）.匹配分为通用匹配和特定于协议的匹配两大类.这里将介绍可用于采用任何协议的信息包的通用匹配：

基本匹配：
-s,--src,--source：匹配数据包的源地址
-d,--dst,--destinnation:匹配数据包的目标地址
-i:指定数据包的流入接口
-o：指定数据包的流出接口
-p：协议匹配（tcp,udp,icmp）
扩展匹配:
隐含扩展：
-p tcp
--sport源端口
--dport目的端口
--tcp-flags 标志位 ,匹配数据包类型SYN,ACK,RST,FIN,URG,PSH,ALL,NONE
--syn
-p udp
--sport
--dport
-p icmp
--icmp-type echo-request,8 echo-reply,0

显示扩展：
-m state --state：对数据包状态规则检测
NEW,ESTABLISHED,RELATED,INVALID（无法识别的）

-m multiport --sports 22,80,90(指定多个源端口,中间用“,”隔开,最多15个）
--dports 指定多个目标端口
--ports
-m conlimit(并发连接数)
--cornlimit-above 5 (超过5个）
！ --cornlimit-above 5（少于5个）
-m string (基于字符串匹配)
--algo（kmp|bm)
--string pattern
-m time
--timestart 07:10 --timestop 23:59:59

4．目标（target）

目标是由规则指定的操作,对与那些规则匹配的信息包执行这些操作.除了允许用户定义的目标之外,还有许多可用的目标选项：

-j ACCEPT：当信息包与具有ACCEPT目标的规则完全匹配时,会被接受.
DROP：当信息包与具有DROP目标的规则完全匹配时回忆阻塞该信息包,并不做任何处理

REJECT：该目标工作方式与DROP相同,但对数据包不会直接丢弃,而是将错误信息返回.

二.实例

1.查看规则

要查看系统中现有的iptables规划集,可以运行以下命令：

iptables --list

2．增加规则

本例中的规则将会阻止来自某一特定iptables -A FORWARD -p udp -d 198.168.80.0/24 -i eth0 -j ACCEPT

Define packets from Intranet to Internet

/sbin/iptables -A FORWARD -s 198.168.80.0/24 -i eth1 -j ACCEPT

Define fregment rule

/sbin/iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!